Продукты

Организация PKI на базе УЦ Notary-PRO

Компания «Сигнал-КОМ» предлагает решения для организации систем PKI (Public Key Infrastructure - Инфраструктура Открытых Ключей) различной степени сложности – от простейших корпоративных до публичных, объединяющих различные удостоверяющие центры (УЦ) отношениями иерархического подчинения или кросс-сертификации.

Все решения построены на базе УЦ «Notary-PRO» версии 2.6. В зависимости от требований, предъявляемых к проектируемой системе PKI, заказчик имеет возможность выбрать подходящее ему решение:

• Пример системы PKI с простейшей структурой управления;
• Пример системы PKI с разветвленной структурой управления;
• Пример межкорпоративной системы PKI.

Пример системы PKI с простейшей структурой управления.

Данная система реализует весь необходимый набор базовых функций, которые должны поддерживаться Удостоверяющим центром в соответствии с положениями Федерального закона РФ «Об электронной цифровой подписи»:

• генерацию закрытых и открытых ключей УЦ;
• формирование корневых сертификатов открытых ключей УЦ;
• регистрацию пользователей УЦ;
• регистрацию и обработку запросов на издание сертификатов;
• контроль уникальности открытых ключей в регистрируемых запросах;
• сохранение запросов на сертификаты в течение установленного срока хранения;
• формирование сертификатов открытых ключей пользователей по запросам;
• выдачу сертификатов открытых ключей в форме документов на бумажных носителях;
• приостановление и возобновление действия сертификатов, а также их аннулирование;
• формирование списка отозванных сертификатов (СОС);
• ведение реестра выпущенных сертификатов и списков отозванных сертификатов;

УЦ «Notary-PRO» версии 2.6 с перечисленным набором функций обеспечивает поддержание простейшей (вырожденной) PKI-структуры (см. рис.1), предполагающей наличие в домене администрирования единственного корневого УЦ, взаимодействующего со своими пользователями без каких-либо посредников - удаленных центров регистрации или средств удаленного доступа.

Такой пример реализации рекомендуется к использованию в качестве внутрикорпоративного УЦ, обслуживающего как небольшие компании, так и крупные организации, сотрудники или клиенты которых могут передавать запросы и получать сертификаты при личном контакте с представителями административной службы Удостоверяющего центра. Как правило, это не вызывает особых затруднений, если службы УЦ и его пользователи располагаются в относительной территориальной близости друг от друга, например в пределах одного города.

Пример системы PKI с разветвленной структурой управления.

Для администрирования защищенных подсистем с разветвленной, территориально-распределенной структурой управления или с широким территориальным охватом мест дислокации абонентов, инфраструктура УЦ «Notary-PRO» версии 2.6 может быть расширена дополнительными опциональными компонентами, играющими роль посредников при взаимодействии удаленных пользователей с корневым УЦ в домене администрирования.

Система PKI с расширенной инфраструктурой, организованная на базе УЦ «Notary-PRO» версии 2.6, обеспечивает управление ключами пользователей через средства удаленного доступа к услугам УЦ или с помощью централизованной, иерархически организованной архитектуры доверенных Центров Регистрации, подчиняющихся единому корневому Удостоверяющему центру (см. рис.2).

Перечень опциональных компонент инфраструктуры «Notary-PRO» версии 2.6, расширяющих функциональные возможности УЦ, включает:

• Notary CA Server – сервисный модуль, позволяющий значительно увеличить производительность УЦ и повысить его безопасность. Notary CA Server обеспечивает параллельную обработку запросов на сертификацию, поступающих из файловой системы, через Web-интерфейс или от операторов удаленных Регистрационных Центров;
• Notary-PRO RA, Notary-PRO RA Server - для удаленного администрирования абонентов через доверенные Центры регистрации;
• Notary-PRO Web Pages - для организации Web-интерфейса, обеспечивающего интерактивное взаимодействие с УЦ удаленных пользователей;
• Notary-DIR - для организации сетевого справочника сертификатов на базе сервера LDAP.

Поддержка опциональных компонент УЦ обеспечивается реализацией в «Notary-PRO» версии 2.6 с расширенной инфраструктурой дополнительного набора функций, являющихся вспомогательными по отношению к базовым:

• ролевой механизм для разделения полномочий и зон администрирования между Операторами РЦ - доверенными лицами Администратора УЦ;
• автоматическая регистрация и сертификация запросов, поступающих через различные внешние интерфейсы УЦ (Notary-PRO RA Server, Web-интерфейс, из файловой системы);
• автоматическая публикация выпущенных сертификатов в сетевом справочнике и др.

Данный пример реализации УЦ, укомплектованного опциональными компонентами, может использоваться в качестве внутрикорпоративного, регионального или публичного УЦ, обслуживающего замкнутые защищенные системы, эксплуатируемые территориально удаленными пользователями или организациями с разветвленной структурой филиального типа, но не предусматривающие взаимодействие с абонентами УЦ из других доменов администрирования.

Пример межкорпоративной системы PKI.

С помощью «Notary-PRO» версии 2.6 можно реализовать межкорпоративную систему PKI, используя ряд дополнительных функций, обеспечивающих установление доверительных отношений с УЦ из других доменов администрирования:

для иерархических структур PKI с вертикальными отношениями подчиненности между УЦ
• возможность формирования запросов с открытыми ключами Удостоверяющего центра для сертификации в вышестоящем УЦ;
• возможность формирования сертификатов на запросы от подчиненных УЦ;

для поддержания одноранговых структур PKI с горизонтальными доверительными отношениями между УЦ (кросс-сертификация)
• возможность формирования запросов с открытыми ключами Удостоверяющего центра для кросс-сертификации в других УЦ;
• возможность формирования кросс-сертификатов на запросы из других УЦ (с сохранением параметров запроса в сертификате без изменения их последовательности и кодировки).

Данный пример реализации УЦ «Notary-PRO» версии 2.6 позволяет организовать систему PKI практически любой степени сложности и может использоваться в качестве корпоративного, регионального или публичного УЦ, способного устанавливать доверительные отношения с другими удостоверяющими центрами для обслуживания крупномасштабных защищенных систем, объединяющих участников из различных доменов администрирования (см. рис.3).